信(xìn)息安(ān)全(quán)風(fēng)險評估是信(xìn)息安(ān)全(quán)保障工作(zuò)的(de)基礎和(hé)重(zhòng)要(yào)环(huán)节(jié)，《國(guó)家信(xìn)息化(huà)领導小組關(guān)于加强信(xìn)息安(ān)全(quán)保障工作(zuò)的(de)意(yì)見(jiàn)（中(zhōng)辦(bàn)發(fà)[2003]27号(hào)）》，《關(guān)于開(kāi)展(zhǎn)信(xìn)息安(ān)全(quán)風(fēng)險評估工作(zuò)的(de)意(yì)見(jiàn)（國(guó)信(xìn)辦(bàn)[2006]5号(hào)）》等政(zhèng)策都提(tí)出(chū)信(xìn)息安(ān)全(quán)風(fēng)險評估的(de)必要(yào)性(xìng)。2017年(nián)6月(yuè)1日(rì)实施的(de)《中(zhōng)華人(rén)民(mín)共(gòng)和(hé)國(guó)网(wǎng)络安(ān)全(quán)法(fǎ)》中(zhōng)明(míng)确将信(xìn)息安(ān)全(quán)安(ān)全(quán)風(fēng)險評估工作(zuò)上升(shēng)为(wèi)國(guó)家法(fǎ)律层(céng)面(miàn)，为(wèi)信(xìn)息安(ān)全(quán)風(fēng)險評估工作(zuò)的(de)推動(dòng)發(fà)揮巨大(dà)作(zuò)用(yòng)。

山(shān)東(dōng)正(zhèng)舟積极(jí)響應(yìng)國(guó)家政(zhèng)策，推出(chū)信(xìn)息安(ān)全(quán)風(fēng)險評估服(fú)务，致(zhì)力于保障信(xìn)息安(ān)全(quán)建設和(hé)提(tí)高(gāo)防範風(fēng)險能(néng)力。

一(yī)、服(fú)务介紹

正(zhèng)舟信(xìn)息安(ān)全(quán)風(fēng)險評估服(fú)务是識别、控制、降低或(huò)消除可(kě)能(néng)影響信(xìn)息系(xì)統的(de)安(ān)全(quán)風(fēng)險的(de)过程。通(tòng)过風(fēng)險評估来(lái)識别風(fēng)險大(dà)小，通(tòng)过制定(dìng)信(xìn)息安(ān)全(quán)方(fāng)針(zhēn)，選择适當的(de)控制目标(biāo)和(hé)方(fāng)式对(duì)風(fēng)險進(jìn)行控制，使風(fēng)險被(bèi)避免、转移或(huò)降到(dào)可(kě)以被(bèi)接受的(de)水(shuǐ)平。

二(èr)、用(yòng)户需求

1、合規驅動(dòng)：满足相關(guān)監管(guǎn)要(yào)求

——面(miàn)对(duì)上級單位(wèi)及(jí)監管(guǎn)單位(wèi)的(de)檢查，通(tòng)过風(fēng)險評估識别安(ān)全(quán)脆弱性(xìng)，提(tí)前(qián)做好安(ān)全(quán)加固。

2、業务驅動(dòng)：有的(de)放(fàng)矢的(de)安(ān)全(quán)建設指導

——業务层(céng)面(miàn)（規劃(huà)）：組織內(nèi)部(bù)的(de)安(ān)全(quán)問(wèn)題(tí)很多(duō)，信(xìn)息安(ān)全(quán)工作(zuò)應(yìng)該優先(xiān)開(kāi)展(zhǎn)哪一(yī)部(bù)分(fēn)？如(rú)何衡量(liàng)效率、成(chéng)本(běn)和(hé)安(ān)全(quán)？未来(lái)安(ān)全(quán)建設如(rú)何規劃(huà)？找到(dào)客户安(ān)全(quán)痛點(diǎn)，“按病吃藥”，進(jìn)行安(ān)全(quán)方(fāng)案建設，合理(lǐ)投入(rù)；

——業务层(céng)面(miàn)（現(xiàn)狀）：采購大(dà)量(liàng)安(ān)全(quán)設备後(hòu)，安(ān)全(quán)現(xiàn)狀到(dào)底如(rú)何？通(tòng)过風(fēng)險評估服(fú)务進(jìn)行針(zhēn)对(duì)性(xìng)檢查，讓運營者(zhě)清(qīng)晰認識到(dào)自(zì)身(shēn)环(huán)境的(de)資産以及(jí)資産存在(zài)的(de)脆弱性(xìng)和(hé)威脅，充分(fēn)了(le)解(jiě)自(zì)身(shēn)的(de)安(ān)全(quán)狀态；

——業务层(céng)面(miàn)（新(xīn)增）：新(xīn)業务上線(xiàn)是否“带(dài)病上線(xiàn)”，通(tòng)过風(fēng)險評估服(fú)务進(jìn)行全(quán)面(miàn)檢測。

3、重(zhòng)保驅動(dòng)：重(zhòng)保前(qián)期(qī)安(ān)全(quán)檢測

——如(rú)何在(zài)重(zhòng)保活動(dòng)前(qián)有效預防？提(tí)前(qián)做好針(zhēn)对(duì)性(xìng)加固，提(tí)前(qián)知悉安(ān)全(quán)入(rù)口(kǒu)。

4、事(shì)件(jiàn)驅動(dòng)：安(ān)全(quán)事(shì)件(jiàn)預防，安(ān)全(quán)事(shì)件(jiàn)發(fà)生(shēng)後(hòu)深度(dù)分(fēn)析檢測並(bìng)規避

——當安(ān)全(quán)事(shì)件(jiàn)發(fà)生(shēng)後(hòu)，簡單的(de)漏洞(dòng)檢測已经不(bù)能(néng)满足用(yòng)户需求，需要(yào)通(tòng)过整體(tǐ)風(fēng)險評估，分(fēn)析出(chū)業务层(céng)安(ān)全(quán)問(wèn)題(tí)，並(bìng)将業务風(fēng)險進(jìn)行計(jì)算，得出(chū)風(fēng)險分(fēn)析報告。

三、差距分(fēn)析

1、用(yòng)户側

① 人(rén)員层(céng)面(miàn)：缺乏專業的(de)人(rén)員進(jìn)行安(ān)全(quán)檢測；

② 工具层(céng)面(miàn)：缺乏專業的(de)工具，且(qiě)一(yī)次(cì)購买漏洞(dòng)掃描設备成(chéng)本(běn)高(gāo)，後(hòu)期(qī)使用(yòng)運維壓力大(dà)。

2、解(jiě)決方(fāng)案側

背景：客户現(xiàn)有解(jiě)決方(fāng)案一(yī)般为(wèi)采購安(ān)全(quán)設备或(huò)檢查設备；

① 産品以防護为(wèi)主(zhǔ)：为(wèi)什(shén)么防護？內(nèi)网(wǎng)有哪些(xiē)問(wèn)題(tí)？用(yòng)户对(duì)这(zhè)些(xiē)並(bìng)不(bù)知情(qíng)，部(bù)署(shǔ)大(dà)量(liàng)設备後(hòu)仍然出(chū)現(xiàn)安(ān)全(quán)事(shì)件(jiàn)；

② 檢查設备包(bāo)含漏洞(dòng)掃描設备、基線(xiàn)核查設备、風(fēng)險評估工具等，一(yī)次(cì)性(xìng)投入(rù)高(gāo)；且(qiě)後(hòu)期(qī)使用(yòng)運維壓力大(dà)，对(duì)人(rén)員要(yào)求高(gāo)。

四、服(fú)务內(nèi)容

1、資産識别

開(kāi)展(zhǎn)用(yòng)户訪談和(hé)問(wèn)卷(juǎn)調研，确定(dìng)信(xìn)息安(ān)全(quán)風(fēng)險評估範圍及(jí)具體(tǐ)系(xì)統。針(zhēn)对(duì)給(gěi)出(chū)的(de)系(xì)統，如(rú)業务系(xì)統、數據(jù)文(wén)檔、软(ruǎn)硬(yìng)件(jiàn)資産、物(wù)理(lǐ)环(huán)境、組織管(guǎn)理(lǐ)等信(xìn)息分(fēn)類(lèi)統計(jì)資産情(qíng)況，進(jìn)行深度(dù)資産識别。基于訪談、人(rén)工审核等方(fāng)式，对(duì)已統計(jì)的(de)資産進(jìn)行核对(duì)，确保資産情(qíng)況真实有效。

服(fú)务交付物(wù)：《資産識别表(biǎo)》

2、漏洞(dòng)發(fà)現(xiàn)

① 使用(yòng)web應(yìng)用(yòng)安(ān)全(quán)掃描，通(tòng)过漏洞(dòng)掃描工具，掃描Web應(yìng)用(yòng)层(céng)，檢測常規的(de)安(ān)全(quán)漏洞(dòng)；

② 对(duì)于系(xì)統层(céng)的(de)掃描，可(kě)以使用(yòng)漏洞(dòng)掃描工具，对(duì)業务系(xì)統的(de)网(wǎng)络設备、主(zhǔ)機(jī)、操作(zuò)系(xì)統、數據(jù)庫、中(zhōng)间件(jiàn)、應(yìng)用(yòng)软(ruǎn)件(jiàn)進(jìn)行全(quán)量(liàng)漏洞(dòng)掃描。

服(fú)务交付物(wù)：《XXX系(xì)統安(ān)全(quán)漏洞(dòng)掃描報告》、《XXXIP地(dì)址段(duàn)安(ān)全(quán)漏洞(dòng)掃描報告》

3、基線(xiàn)核查

基于用(yòng)户提(tí)供權限或(huò)管(guǎn)理(lǐ)人(rén)員的(de)配合，对(duì)設备、數據(jù)庫、中(zhōng)间件(jiàn)等安(ān)全(quán)配置進(jìn)行腳(jiǎo)本(běn)核查，並(bìng)对(duì)結果(guǒ)導入(rù)基線(xiàn)檢查平台(tái)，最(zuì)終(zhōng)輸入(rù)詳细(xì)的(de)安(ān)全(quán)報告。

服(fú)务交付物(wù)：《基線(xiàn)核查安(ān)全(quán)評估報告》

4、漏洞(dòng)验(yàn)证

对(duì)web安(ān)全(quán)和(hé)系(xì)統掃描，以及(jí)基線(xiàn)檢查結果(guǒ)中(zhōng)存在(zài)的(de)安(ān)全(quán)隐患，結合人(rén)工+工具進(jìn)行漏洞(dòng)验(yàn)证，保障結果(guǒ)的(de)準确率。根(gēn)據(jù)識别到(dào)的(de)脆弱性(xìng)進(jìn)行分(fēn)析和(hé)利用(yòng)，通(tòng)过防火牆(qiáng)、IPS等設备日(rì)志分(fēn)析外(wài)部(bù)惡意(yì)攻击等威脅，通(tòng)过人(rén)工审核勘查物(wù)理(lǐ)环(huán)境、組織管(guǎn)理(lǐ)架構流程等分(fēn)析內(nèi)部(bù)威脅。

5、渗透測試（可(kě)選）

高(gāo)級服(fú)务工程师(shī)在(zài)獲得授權的(de)情(qíng)況下(xià)，以主(zhǔ)流渗透工具結合提(tí)供的(de)工具模拟黑(hēi)客攻击为(wèi)主(zhǔ)要(yào)手(shǒu)段(duàn)，發(fà)現(xiàn)常見(jiàn)的(de)高(gāo)中(zhōng)危漏洞(dòng)为(wèi)主(zhǔ)要(yào)目标(biāo)，将發(fà)現(xiàn)的(de)安(ān)全(quán)漏洞(dòng)進(jìn)行整理(lǐ)，給(gěi)出(chū)詳细(xì)说(shuō)明(míng)，針(zhēn)对(duì)每个(gè)安(ān)全(quán)漏洞(dòng)提(tí)供相應(yìng)的(de)解(jiě)決方(fāng)法(fǎ)。並(bìng)結合客户修複情(qíng)況，協助客户針(zhēn)对(duì)修複後(hòu)的(de)漏洞(dòng)進(jìn)行複測验(yàn)证。

服(fú)务交付物(wù)：《業务系(xì)統渗透測試報告》、《業务系(xì)統渗透測試複測報告》

6、風(fēng)險分(fēn)析

綜合考慮資産本(běn)身(shēn)的(de)價值、威脅發(fà)生(shēng)的(de)幾(jǐ)率、脆弱性(xìng)的(de)破壞力、現(xiàn)有的(de)防護能(néng)力等因(yīn)素，分(fēn)析資産可(kě)能(néng)存在(zài)的(de)安(ān)全(quán)風(fēng)險，結合風(fēng)險对(duì)業务戰略的(de)影響程度(dù)明(míng)确風(fēng)險處(chù)置計(jì)劃(huà)；根(gēn)據(jù)資産識别、脆弱性(xìng)評估、威脅評估、防護能(néng)力評估的(de)輸出(chū)結果(guǒ)進(jìn)行風(fēng)險分(fēn)析後(hòu)，通(tòng)过 RAP 工具輸出(chū)風(fēng)險評估報告。風(fēng)險評估報告是为(wèi)用(yòng)户提(tí)供符合業务需求的(de)安(ān)全(quán)整改建議。

服(fú)务交付物(wù)：《XXX單位(wèi)安(ān)全(quán)風(fēng)險評估報告》

7、漏洞(dòng)验(yàn)证

組織總(zǒng)結会(huì)議对(duì)風(fēng)險評估整體(tǐ)工作(zuò)流程及(jí)結果(guǒ)進(jìn)行總(zǒng)結，並(bìng)輸出(chū)針(zhēn)对(duì)性(xìng)解(jiě)決方(fāng)案進(jìn)行高(gāo)层(céng)彙報。

服(fú)务交付物(wù)：《XXX安(ān)全(quán)建設解(jiě)決方(fāng)案》

五(wǔ)、服(fú)务工具 

1、TSS安(ān)全(quán)評估工具

功能(néng)：基于資産發(fà)現(xiàn)、基線(xiàn)核查、系(xì)統漏洞(dòng)掃描、WEB漏洞(dòng)掃描、弱口(kǒu)令掃描为(wèi)一(yī)體(tǐ)的(de)安(ān)全(quán)評估工具

工作(zuò)模式：以软(ruǎn)件(jiàn)安(ān)装包(bāo)部(bù)署(shǔ)在(zài)專用(yòng)工作(zuò)站，需要(yào)結合USB-KEY授權使用(yòng)。

2、RAP風(fēng)險評估平台(tái)

功能(néng)：基于風(fēng)險評估标(biāo)準对(duì)風(fēng)險要(yào)素進(jìn)行綜合分(fēn)析，自(zì)動(dòng)化(huà)輸出(chū)評估報告的(de)綜合性(xìng)网(wǎng)络安(ān)全(quán)風(fēng)險評估支撐平台(tái)。

工作(zuò)模式：以软(ruǎn)件(jiàn)安(ān)装包(bāo)部(bù)署(shǔ)在(zài)專用(yòng)工作(zuò)站，需要(yào)結合授權使用(yòng)。

六(liù)、方(fāng)案優勢

山(shān)東(dōng)正(zhèng)舟風(fēng)險評估服(fú)务具有成(chéng)熟的(de)風(fēng)險評估方(fāng)案，成(chéng)熟的(de)工具和(hé)流程。能(néng)夠根(gēn)據(jù)不(bù)同(tóng)用(yòng)户的(de)需求，提(tí)供專業有效的(de)解(jiě)決方(fāng)案。